web3: فريق Bitcoin Red استخدم Kimi K3 لمسح وتسجيل 7958 مشكلة

تدخل بيئة Bitcoin مفتوحة المصدر دورة مراجعة أمنية أسرع. أشار فريق Bitcoin Red Team إلى أنه بعد مراجعة 501 مشروع لمدة تقارب 108 ساعة، تم تسجيل 7958 مشكلة، منها 1280 تم تصنيفها كمشاكل خطيرة أو عالية الخطورة. ومع ذلك، هذه الأرقام لا تعني بالضرورة وجود ثغرات مؤكدة قابلة للاستغلال، إذ يحتاج العديد من النتائج لمزيد من إعادة التحقق والتأكيد من قبل المشرفين والباحثين.

تم بالفعل إعادة التحقق من بعض النتائج ورفعها للتقرير

وفقًا للبيانات المعلنة، تم إجراء تحقق قابل لإعادة التنفيذ لحوالي 24.7% من المشاكل، وتم رفع 29.4% منها إلى مشرفي المشاريع. ذكر المطور الذي شارك تحت اسم مستعار Calle أن الفريق قد أجرى فحصًا أوليًا تقريبًا على جميع بيئة Bitcoin مفتوحة المصدر، وتمت مراجعة نطاق واسع من الثغرات السهلة الاكتشاف.

أداة العمل الأساسية في هذه الجولة كانت Kimi K3 من Moonshot AI. يرى Calle أن النماذج المتقدمة باتت قادرة على فحص أكواد المصدر المفتوح المتراكمة لسنوات بسرعة، ما يجعل البرمجيات القديمة تواجه مراجعات أمنية أكثر قوة. لكن المقال يؤكد أيضًا أن ذلك لا يعني أن Bitcoin Core أو جميع مشاريع Bitcoin قد تم اختراقها.

تم استخدام Kimi K3 في مراجعة شاملة للأكواد

أظهرت الاختبارات المستقلة أن Kimi K3 يمتلك قدرات معينة في مهمات أمن الشبكات. وأفادت تقييمات مشتركة من AI Security Institute البريطاني وCAISI الأمريكي أن النموذج تفوق على GLM-5.2 في اختبارات تطوير استغلال الثغرات، لكنه لا يزال أقل أداءً من أقوى النماذج المغلقة الأمريكية. سجل Kimi K3 نسبة 32% على ExploitBench، ولم ينفذ أي عملية تنفيذ أكواد عشوائية ضمن 41 عينة اختبار.

سبق لفريق Bitcoin Red Team أن اكتشف 4962 مشكلة محتملة في 390 مشروع Bitcoin، وكان 720 منها حينها مصنفة كمشاكل خطيرة أو عالية الخطورة. الإحصائيات الأخيرة تظهر توسعًا واضحًا في نطاق الفحص وعدد المشاكل مقارنة بالجولة الأولى.

تم إصلاح ثغرة خطيرة في BTCPay Server

لم تعد هذه العملية مجرد مسح تلقائي. أشار بيان على صفحة GitHub الرسمي لـ BTCPay Server إلى أنه تم إصلاح ثغرة خطيرة بناءً على تقارير من الباحثين في Bitcoin Red Team Bruno Garcia وBen Carman، إضافة إلى باحثين مستقلين. أصلحت النسخة 2.4.2 مشكلة تجاوز المصادقة الثنائية في Greenfield Basic Authentication، وهي ثغرة تم استغلالها بالفعل.

أفاد مشروع BTCPay Server لاحقًا أن المهاجمين تمكنوا من الحصول على بيانات LND admin macaroon من عمليات النشر المتأثرة، واستخدموها للوصول إلى محفظة Lightning Network المتصلة. وأشار الفريق إلى أنهم لا يزالون يتلقون المزيد من التقارير من Bitcoin Red Team، Project Loupe، Magic Grants وباحثين مستقلين، بالإضافة إلى تعزيز إجراءات الفحص والمراجعة.

توضح هذه الإصلاحات أن بعض مشاكل المخاطر العالية في تقارير فريق الرد الأحمر تم تأكيدها ومعالجتها من قبل المشرفين. لكن ذلك لا يثبت أن جميع الـ 7958 مشكلة المسجلة صحيحة. يمكن أن تسفر مراجعة المدعومة بالذكاء الاصطناعي عن تقارير خاطئة أو مكررة، أو تعديلات في مستوى الخطورة بعد التحقيق اليدوي.

سرعة استجابة المشرفين قد تصبح أكثر أهمية

يرى Calle أنه مع انخفاض تكلفة اكتشاف وتقييم الثغرات بفضل الذكاء الاصطناعي، يجب التعامل مع المشاريع التي تفتقر للصيانة الحثيثة بحذر أكبر. وقد تصبح سرعة استجابة المشرفين لتقارير الثغرات مؤشرًا مباشرًا على صحة المشروع. في المستقبل، قد يحتاج المشرفون لتشغيل عمليات مراجعة بالذكاء الاصطناعي بشكل متواصل، بدل الاعتماد على الفحص الخارجي المتقطع فقط.

تتجه بيئة Bitcoin تدريجيًا نحو هذا المنهج. أطلقت OpenSats قناة تمويل سريعة لفريق الرد الأحمر، لتغطية جزء من تكاليف الباحثين الخاصة بـ LLM. كما دعت أكثر من 40 مؤسسة تعمل في مجال Bitcoin والأصول الرقمية، مختبرات الذكاء الاصطناعي الرئيسية لمنح المدافعين مفتوح المصدر الذين خضعوا للمراجعة إمكانية الوصول بالتحكم إلى النماذج المتقدمة، بما يشمل بيئة آمنة، موارد حسابية كافية وقنوات التواصل المباشر مع فرق أمن الذكاء الاصطناعي.

بالنسبة للمستخدمين العاديين، تتركز أخطر المخاطر في المحافظ، بنية Lightning Network التحتية، برامج الدفع وقواعد الأكواد القديمة، وليس في بروتوكول توافق Bitcoin الأساسي نفسه.